Mac liên tục hỏi mật khẩu VPN: chuỗi khóa hay tài khoản?

Bạn mở khóa Mac, khởi động ứng dụng VPN, và một bảng mật khẩu hiện ra trước cả khi đường hầm bắt đầu. Bạn gõ mật khẩu cổng, và hoặc nó bị từ chối, hoặc bảng đó quay lại ngay sau đó. Rồi nó hỏi lại sau khi máy thức khỏi chế độ ngủ, sau khi đăng xuất, hoặc sau khi ứng dụng cập nhật. Bảng đó hiếm khi là máy chủ VPN đòi thông tin đăng nhập; thường là macOS xin phép đọc, mở khóa hoặc thay đổi một bản ghi cục bộ, và mật khẩu thuộc về chủ của bản ghi đó, không phải tài khoản VPN của bạn.

Khớp bảng thông báo với danh tính đứng sau nó

Bốn lời nhắc trông gần như giống hệt nhau, và chỉ một lời liên quan tới cổng. Cách diễn đạt, tiến trình xin quyền truy cập và mục được nêu bên dưới cho biết bạn đang gặp cái nào.

Một hộp thoại về truy cập cục bộ không chứng minh gì về máy chủ. Việc cổng từ chối hiện ra bên trong ứng dụng với văn bản lỗi của nhà cung cấp, chứ không phải một bảng hệ thống mời mở khóa chuỗi khóa. Chiều ngược lại cũng phổ biến không kém: gõ mật khẩu cổng vào bảng chuỗi khóa để lại bản ghi vẫn bị khóa và thêm một lần thử thất bại.

Hộp thoại nêu tên chủ sở hữu, nơi lưu và hành động

Lời nhắc chuỗi khóa nói về việc lấy dữ liệu, không phải xác thực với bất cứ thứ gì ở xa. Mô tả của Apple về hộp thoại yêu cầu khá hẹp: Cho phép một lần, Luôn cho phép và Từ chối quyết định việc ứng dụng đó có được đọc mục đã lưu hay không. Không cái nào trong ba cái trao quyền ở cổng hay thay đổi điều máy chủ nghĩ về mật khẩu của bạn.

Khi bên yêu cầu là ứng dụng vừa cập nhật, việc phê duyệt lại là điều dự kiến: bản dựng mới không còn khớp với danh sách kiểm soát truy cập trên mục đó, nên macOS hỏi lại. Hãy chọn Cho phép một lần trong lúc chẩn đoán. Luôn cho phép là một khoản cấp quyền thường trực cho ứng dụng đó và là câu trả lời sai với một tiến trình phụ trợ bạn không ngờ tới; hãy từ chối và kiểm tra nhà cung cấp nếu tệp nhị phân không phải ứng dụng bạn đã cài.

Lời nhắc xin quyền quản trị là loại thứ ba. Nó nêu một thiết lập hệ thống hoặc một kho được bảo vệ đang bị thay đổi, và thông tin nó đòi là một tài khoản quản trị trên chiếc Mac này. Không phải mọi mục chuỗi khóa cá nhân đều cần điều đó; những mục nằm sau cấu hình mạng thường cần, vì cấu hình thuộc về hệ thống chứ không thuộc phiên đăng nhập của bạn.

Mật khẩu VPN trên Mac có thể nằm ở đâu

Chuỗi khóa là một nơi lưu khả dĩ, không phải định nghĩa của nơi lưu. Một cấu hình VPN dựng sẵn tạo trong Cài đặt Hệ thống giữ thông tin đăng nhập cùng với cấu hình mạng, như một thiết lập hệ thống được quản lý. Ứng dụng bên thứ ba thường giữ một mục trong chuỗi khóa đăng nhập của bạn: một mật khẩu chung khóa theo tên dịch vụ, hoặc một mật khẩu internet khóa theo máy chủ, giao thức và tài khoản. Nhiều ứng dụng mới hơn dùng chuỗi khóa bảo vệ dữ liệu thay thế, nơi các mục không bao giờ xuất hiện trong Truy cập Chuỗi khóa.

Người ta tìm tên VPN trong Truy cập Chuỗi khóa, không thấy gì, và kết luận mật khẩu không được lưu. Ghi chú TN3137 của Apple nói rằng có nhiều hơn một cách hiện thực chuỗi khóa; việc không thấy trong danh sách đó là bình thường, không phải bằng chứng của một mục hỏng.

Các loại bản ghi cũng không thay thế cho nhau được. Mật khẩu tài khoản, cụm mật khẩu khóa riêng, chứng chỉ ứng dụng và khóa chia sẻ IPsec hỏng theo cách khác nhau và được sửa ở chỗ khác nhau; gõ lại mật khẩu đã lưu không giúp gì cho một chứng chỉ bị từ chối. Nếu Mac thuộc quản lý, hồ sơ cấu hình là một chủ khác: một tải trọng VPN có thể mang thông tin đăng nhập và áp lại chúng khi làm mới, nên xóa một mục cục bộ chỉ là tạm thời cho tới khi quản trị viên thay đổi.

Khi mật khẩu đăng nhập và mật khẩu chuỗi khóa tách khỏi nhau

Chuỗi khóa đăng nhập thường dùng mật khẩu đăng nhập Mac của bạn, đó là lý do hai thứ có thể tách nhau. Một quản trị viên đặt lại mật khẩu của bạn từ tài khoản khác, một luồng khôi phục, hoặc một thay đổi thư mục có thể để chuỗi khóa bị khóa ở giá trị cũ, và macOS khi đó đòi một mật khẩu mà bạn vừa không đặt.

Khi đăng nhập bạn có thể thấy cảnh báo rằng hệ thống không mở khóa được chuỗi khóa. Cập nhật nó cần mật khẩu cũ, điều này ổn nếu bạn nhớ và vô dụng nếu bạn không nhớ. Hai cách sửa trung thực là Truy cập Chuỗi khóa, Sửa, Đổi mật khẩu cho chuỗi khóa „login“, hoặc một chuỗi khóa đăng nhập mới với thông tin đăng nhập cần thiết được nhập lại. Lựa chọn thứ hai phá hủy các mục đã lưu.

Đừng đặt lại toàn bộ chuỗi khóa chỉ vì một VPN từ chối thông tin cũ: việc đó cuốn theo những tài khoản không liên quan và vẫn không xác định được mục nào.

Một lệnh giải quyết câu hỏi cục bộ hay từ xa. Hỏi thẳng chuỗi khóa về mục đó:

security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -g

Dùng máy chủ và tài khoản từ phần cài đặt của ứng dụng. Nếu cùng bảng phê duyệt đó hiện ra khi bạn tự hỏi chuỗi khóa, thì lời nhắc là cục bộ và máy chủ chỉ đứng ngoài. Nếu không có mục như vậy, ứng dụng không lưu mật khẩu ở nơi bạn tưởng. Cờ -g in bí mật ra terminal, nên tránh chia sẻ màn hình.

Cập nhật đúng bản ghi mà ứng dụng thật sự đọc

Nếu tài khoản đã đổi ở cổng, hãy đổi ở đó trước, rồi cập nhật bản ghi đã lưu qua cài đặt của ứng dụng. Sửa tay một mục chuỗi khóa là không đáng tin: ứng dụng có thể đọc một cặp dịch vụ và tài khoản khác, và hồ sơ cấu hình được quản lý sẽ ghi đè thay đổi của bạn.

Với một mục nghi là cũ, hãy khớp dịch vụ, tài khoản và giao thức trước khi xóa bất cứ thứ gì:

security delete-generic-password -s "Client Name" -a [email protected]

Xóa một mục cùng tên gần giống từ kết nối khác là sự cố tự gây phổ biến. Việc gỡ bỏ chỉ mang tính cục bộ: nó không thu hồi phiên trên cổng, không gỡ chứng chỉ thiết bị, và không đổi mật khẩu tài khoản.

Xác nhận cách sửa sống sót qua lần khởi động lại

Kết nối, thức khỏi chế độ ngủ, đăng xuất rồi đăng nhập lại, sau đó khởi động lại một lần. Một chuỗi sạch không có bảng nào và trạng thái ứng dụng nêu đúng tài khoản mong đợi là bằng chứng duy nhất đáng tính. Lời nhắc quay lại ở đâu cho biết bạn đã bỏ sót tầng nào: sau cập nhật là phê duyệt, sau thay đổi mạng là lời nhắc của chính ứng dụng, sau khởi động lại là hồ sơ cấu hình đang áp lại trạng thái.

Kiểm tra ứng dụng xem có thiết lập nhớ mật khẩu hay luôn hỏi trước khi chạm lại vào chuỗi khóa. Một số cấu hình, đặc biệt IKEv2 với xác thực theo từng người dùng, hỏi theo thiết kế ở mỗi lần kết nối; sửa chuỗi khóa sẽ không giúp.

Ghi lại mục bạn đã thay đổi, nơi lưu sở hữu nó và tài khoản nó thuộc về, để lần nhắc sau chỉ mất vài giây để định vị. Trang Yêu cầu truy cập chuỗi khóa của Apple là tài liệu tham chiếu cho việc ba nút đó cấp quyền gì.